讨论：网站遇黑阔，求分析思路查身份～逆向追踪黑客、溯源分析

网站遇黑阔，求分析思路查身份～

zone | 2015-11-03 00:04

朋友的一个刷单平台最近遇到一黑阔，损失了不少，找我帮忙，也没啥好主意，唉~_~

各位大神快来给点建议分析分析～

“一个刷单平台网站，分为商家和刷手，刷手通过平台给商家做任务。10月份，就出现，黑客登录到刷手的账号，给商家做任务，是远程付款任务，就是商家在刷手的电脑进行付款，黑客以刷手的身份，让商家在自己电脑上付款，然后达成远程钓鱼的目的。付款的时候，直接伪造付款页面，将钱转走。后来，我在平台上规定，商家在和刷手接洽的时候，必须核对QQ，就是商家必须和刷手本人的QQ聊天，才能做任务，否则被骗不负责，后来骗子感觉骗不了了，就开始利用黑客技术，修改刷手会员信息的QQ账号，将QQ改成自己的，然后冒充刷手做任务。

这几天，通过调取10月份之前的会员QQ信息和10月份的QQ信息，进行比对，发现一些QQ号在10月份被修改过，今天把被改过QQ的这些刷手账号封了。以免黑客登录这些账号行骗。但是晚上，很意外的是，上午封的账号，黑客晚上竟然解封了，依旧照常到里面接任务行骗。

基本情况就是这样，现在黑客，能修改会员密码，能修改会员QQ号，还能将管理员封的账号解封。

”

不知这位黑阔是只能上后台，还是已经拿下服务器了，朋友说安全狗没查出什么出来，上后台的话，如果有xss也许就能很轻易进去了。

现在的问题是，可不可以通过一些技术手段，找出这位黑阔的真实身份，让平台避免损失，求姿势～

（我想的是能不能在黑阔登陆的帐户上，做些手脚，比如插入一段<embed/src=//小号qq空间>，记录访客，查真实qq。。。）再社工。

已知：黑阔作案qq通常是小号，多次登陆ip显示为江苏徐州的。

～～我怎么感觉有种侦探小说的赶脚。

[原文地址]

各种吐槽：

h3hz | 2015-11-03 01:05

还真是逗智逗勇啊，我怎么感觉黑阔有数据库权限，换个后台，改下数据库密码，找出黑阔怎么日进来的蛛丝马迹

麦兜 (麦兜爱吃苹果) | 2015-11-03 01:25最佳答案

1,修改所有有解封权限用的密码，全部用明文加md5，看是否还有这样的情况，如果还有，说明漏洞不在用户密码，可能是xss或者sql

2,登录后台，前台，抓包，一个一个的验证，看是否有访问非正常url,如果有可能是xss

3，注入漏洞就只能看日志了，web日志，数据库日志

4，如果被拿了webshell也只能从日志分析了。D蹲可以扫一扫，

5，服务器端口漏洞，这个就要具体看了，关闭所有端口，只开放80对外访问，注意检测弱密码ftp,ssh.telnet,rdp,mysql,mssql,web(80,8080等)

6，看你是否有备份，优化维护后直接回复，记得开日志

麦兜 (麦兜爱吃苹果) | 2015-11-03 01:27

你装了安全狗，有防注入，一般在检测sql注入的时候可能会被狗拦截，你可以对应安全狗的注入日志，对应的找

围剿 (七月流火，八月未央，九月白露凝成轻霜) | 2015-11-03 08:06

@麦兜 666

随风的风 (静，已修身) | 2015-11-03 08:14

@麦兜 666 专业啊

纷纭 (:-)) | 2015-11-03 08:30

查看web 日志~~

齐迹 (sec.zhubajie.com 欢迎来撸) | 2015-11-03 08:53

万一是逻辑漏洞呢？任意密码重置在wooyun上已经不计其数了。

还有越权修改资料什么的。

这些在NB的软件都无法检查的。

一只猿 (专注无线电与硬件安全) | 2015-11-03 09:02

搞个蜜罐

Hckmaple | 2015-11-03 09:09

@麦兜分析透彻！666

10#

大漠長河 (专注智能家居与硬件防火墙) | 2015-11-03 09:11

@一只猿高论

11#感谢(1)

newline | 2015-11-03 09:21

第一时间下线应用，如果是VPS，把VPS系统加应用打包刻到盘或者转移到移动硬盘，挪到一个断网环境，先审计一遍日志， find查找触点信息，比如shell, sqlinjection, xss类的问题触点，如果可以找到，就去复现，可以复现的话就对其进行修复然后继续下一步审计，如果找不到，就应该从客户端边界开始审计，检查客户端边界用户可控变量，可控参数，是否存在变量型的注入，保存型&反射xss? 然后是服务器端脚本(身份验证用的是哪些方式，是否存在验证不全，验证绕过，验证信息泄露，逻辑错误问题？会话管理是用的哪些方式，是否存在可猜测，可以被暴力，或者单纯的使用一种方式进行会话管理？典型的就是没有token,访问控制采用了哪些手段，验证的完整吗？) 把服务器端脚本的这些问题检查清楚后下面可以做一个代码审计，主要是sql注入，命令执行，文件包含，任意文件上传，变量覆盖导致的各种问题，xss, csrf,各种逻辑问题这些，把应用层的问题基本都撸清楚后，对它们进行一一修复，修复后，继续检查服务器端平台，检查是否被放了木马，启动项是否异常， explorer是否被插了dll,是否有异常服务，是否有异常文件，如果是linux/unix 可以扫一扫有没有rootkit,有没有对外发包的程序在跑，不管是windows下的还是linux unix下的，检查到后对其进行一一删除，删除完后，可以对平台和应用进行一次安全加固，如果你使用的是apache mysql apache下的httpd.conf mysql下的my.ini 如果还有php就是php下的php-apache2handler.ini 这个名字具体要根据版本，不是固定的，从这些文件里可以对apache,mysql,php进行一下安全加固，比如禁用函数，限制目录等等这些，详细的可以自己百度，完了后可以对系统平台进行一下加固，比如删除不用的帐号，删除一些命令执行通道，(wsshell, cmd,)或者改名，对负责倒入倒出的dll降权，等等，这些公开环境也有资料，把客户端边界，服务器端脚本，服务器端应用平台，服务器端自身平台都加固完了后，可以上个防火墙，弄个监控啥的，基本就没什么问题了。

12#

newline | 2015-11-03 09:27

我上面说的审计流程和方法只是说了个大概，全部包括并不是只有这些，你可以结合你所了解的和你的基础进行。

13#

hkAssassin | 2015-11-03 09:57

找我，我去抓~~~说那么多有毛用，搞业务之前为什么不想想会被黑掉。就算没有一个全职的安全人员，也得找一个兼职的吧！出问题了自己不查，让你来这里问，你觉的大家说的你能用么？（这就是不重视安全的后果）最好的建议就是钱给到位，找人直接去查，我相信，能出来你期待的结果~~~~

14#

July | 2015-11-03 10:14

后台管理地址主页(index default )解析插入流量统计代码,原来解析文件更名;如果没有统计到第三者或许他已经有服务器权限。

如果是IIS的话后台管理地址,做个IIS访问认证,如果网站还出现异常说明要查shell 服务器后门逻辑漏洞之类的了。

15#

Dream° | 2015-11-03 10:39